DE10052343A1

DE10052343A1 - Verfahren zum Steuern eines Steerby-Wire-Lenksystems

Info

Publication number: DE10052343A1
Application number: DE10052343A
Authority: DE
Original assignee: Robert Bosch GmbH; ZF Lenksysteme GmbH
Current assignee: Robert Bosch GmbH; Robert Bosch Automotive Steering GmbH
Priority date: 2000-10-21
Filing date: 2000-10-21
Publication date: 2002-07-11
Also published as: US20030114969A1; JP2004511395A; EP1332083A1; US6871127B2; DE50115622D1; WO2002032742A1; EP1332083B1

Abstract

Die Erfindung betrifft eine Steuervorrichtung für ein Steer-by-Wire-Lenksystem im Kraftfahrzeug. Von einem als Mikrorechner (RM) ausgeführten Steuergerät werden die für die Regelung eines Lenkmotors (LM) und für einen die Rückstellmomente der Straße an den Fahrer über das Lenkrad übertragenden Feedback-Aktuator (LRM) redundant erzeugten Sensorsignale (delta¶V1¶, delta¶V2¶, delta¶H1¶, delta¶H2¶) empfangen und darin und in einem damit in Wirkverbindung stehenden Überwachungsmodul (ÜM) für diese Sensorsignale Plausibilitätskontrollen ausgeführt. Das Mikrorechnermodul (RM) und das Überwachungsmodul (ÜM) überwachen sich gegenseitig. Zudem wird eine Rückfallebene des Steer-by-Wire-Lenksystems vom Steuergerät (RM) überwacht, das im Fehlerfall auf diese Rückfallebene oder eine mechanische Rückfallebene umschaltet. Zur Erhöhung der Sicherheit wird der Lenkradmotor (LRM) über Steuersignale (U¶H¶) für seine Phasenströme und durch ein Lenkradmotorfreigabesignal (g¶RH¶) und in gleicher Weise der Lenkmotor (LM) über Steuersignale (U¶V¶) für seine Phasenströme und über ein Lenkmotorfreigabesignal (g¶RV¶) angesteuert.

Description

Stand der Technik

Die Erfindung betrifft ein Verfahren zum Steuern eines Steer-by-Wire-Lenksystems und ein Steer-by-Wire-Lenksystem für Fahrzeuge, mit einem am Lenkgetriebe der Vorderachse oder an beiden lenkbaren Vorderrädern angebrachten, elektronisch geregelten Lenksteller, einem den Fahrerlenkwunsch am Lenkrad abgreifenden Lenkradwinkelsensor, einer Rückwirkungen der Straße an den Fahrer über das Lenkrad übermittelnden Feedback- Aktuatoreinheit, einem Lenkwinkelsensor zur Erfassung des aktuellen Lenkwinkels am Lenkgetriebe der Vorderachse oder an den beiden Vorderrädern sowie mit einem Steuergerät zur Erfassung der von den Sensoren gelieferten Signale und Berechnung von Ansteuersignalen für den Lenksteller und die Feedback-Aktuatoreinheit.

Ein Steer-by-Wire-Lenksystem ist aus der DE 195 40 956 C1 bekannt. Bei diesem Lenksystem lässt sich die mechanische Verbindung zwischen Lenkrad und einem auf die gelenkten Rädern wirkenden Lenkgetriebe durch Öffnen einer Kupplung auftrennen. Dann ist dieses Lenksystem ein Steer-by-Wire- Lenksystem, bei dem das Lenkrad lediglich mittelbar mit der Lenkgetriebeanordnung gekoppelt ist. Bei diesem bekannten Steer-by-Wire-Lenksystem ist zur Übermittlung der Rückwirkungen der Straße an den Fahrer über das Lenkrad eine Feedback-Aktuatoreinheit vorgesehen, die als selbsthemmungsfreier Elektromotor ausgeführt ist und, angesteuert von einer Steuervorrichtung am Lenkrad, einen steuerbaren Betätigungswiderstand bewirkt.

Ohne geeignete Vorkehrungen führt ein Fehler innerhalb eines Steer-by-Wire-Lenksystems unmittelbar zu einer Gefahr für Leib und Leben des Fahrers. Daraus ergibt sich die Forderung, dass kein Einzelfehler des Steer-by-Wire- Lenksystems zu dessen Versagen führen darf.

Es ist Aufgabe der Erfindung, ein Verfahren zum Betreiben eines Steer-by-Wire-Lenksystems und ein Steer-by-Wire- Lenksystem bereitzustellen, das alle Steer-by-Wire- Funktionen, einschließlich der Funktionen für den Feedback- Aktuator, mit einem höchstmöglichen Maß an Sicherheit realisieren kann. Generell sollte ein erfindunsgemäßes Steer-by-Wire-Lenksystem das Sicherheitsniveau einer konventionellen Servolenkung erreichen bzw. übertreffen.

Die obige Aufgabe wird durch ein Verfahren nach Anspruch 1, durch ein Steuergerät nach dem nebengeordneten Anspruch 21 und ein Steer-by-Wire-Lenksystem gelöst.

Vorteile der Erfindung

Aufgrund der Redundanz der Messwerterfassung, der Ansteuerung des Lenkstellers und des Feedbackaktuators, der Überprüfung sämtlicher Funktionen und Komponenten und der Kommunikation ist eine große Sicherheit gegenüber Funktionsstörungen gegeben.

Vor allem durch die diversitäre Erfassung verschiedener Messgrößen wie Lenkradwinkel, Lenkwinkel, Rückstellmoment u. a. mehr wird eine Plausibilitätsprüfung der verschiedenen Messwerte und die Bestimmung eventuell fehlerbehafteter Messwerte erleichtert. Dadurch steigt die Zuverlässigkeit und Ausfallsicherheit eines nach dem erfindungsgemäßen Verfahren arbeitenden Steer-by-Wire-Lenksystems.

Die Sicherheit wird weiter erhöht durch die redundante Kommunikation innerhalb des Steuergeräts und mit anderen Steuergeräten oder Sensoren des Fahrzeugs, sowie dadurch, dass das Umschalten vom Steer-by-Wire-Betrieb auf die Rückfallebene erst nach Ablauf einer Übergangszeit nach dem Auftreten eines Fehlers erfolgt. Durch die letztgenannte Maßnahme wird gewährleistet, dass sich sämtliche Funktionen des Steer-by-Wire-Lenksystems in einem definierten Zustand befinden, wenn auf die Rückfallebene umgeschaltet wird.

Die Zuverlässigkeit eines nach dem erfindungsgemäßen Verfahrens arbeitetenden Steer-by-Wire-Lenksystems wird weiter erhöht durch die Aufteilung der Funktionen innerhalb des Steuergeräts auf vier Logik-Ebenen gemäß einem der Unteransprüche 14 bis 18. Durch diese Aufteilung der Funktionen und die gegenseitige Kontrolle werden eventuell auftretende Fehler und Fehlfunktionen mit größtmöglicher Sicherheit erfasst und entsprechende Reaktionen des Steer- by-Wire-Lenksystems ermöglicht.

Im Falle des separaten Überwachungsmoduls weist das Steuergerät zwei Hardware-Ebenen und vier logische Ebenen auf. In den Hardware-Ebenen wirken der Mikrorechner bzw. die Mikrorechner und das Überwachungsmodul zusammen. Das Überwachungsmodul kommuniziert mit dem Mikrorechner oder den Mikrorechnern über ein internes Bussystem. Dabei wird die Rechenfähigkeit des Mikrorechners bzw. der Mikrorechner überprüft und die Programmabläufe innerhalb des Rechners bzw. der Rechner überwacht. Durch die gewählte Art der Datenkommunikation zwischen dem Mikrorechner bzw. den Mikrorechnern und dem Überwachungsmodul wird eine gegenseitige Überwachung dieser Komponenten ermöglicht.

Weitere Vorteile und vorteilhafte Ausgestaltungen sind der Erfindung und der nachfolgenden Beschreibung, der Zeichnung und den Patentansprüchen entnehmbar.

Zeichnung

Es zeigen:

Fig. 1 schematisch ein Steer-by-Wire-Lenksystem mit hydraulischer Rückfallebene und einem elektromotorischen Lenksteller;

Fig. 1a ein Steer-by-Wire-Lenksystem mit mechanischer Rückfallebene;

Fig. 2 schematisch ein Steer-by-Wire-Lenksystem mit hydraulischer Rückfallebene und zwei elektromotorischen Lenkstellern;

Fig. 3 ein Funktionsschema eines Steer-by-Wire- Lenksystems mit einem Lenksteller;

Fig. 4 ein Funktionsschema eines Steer-by-Wire- Lenksystems mit zwei Lenkstellern;

Fig. 5 die Struktur eines bei der Erfindung einsetzbaren Steuergeräts mit einem Mikrorechner und einem separaten Überwachungsmodul;

Fig. 6 eine Steuergerätestruktur mit zwei Mikrorechnern und jeweils einem separaten Überwachungsmodul;

Fig. 7 die Struktur eines Steuergeräts mit zwei Mikrorechnern, die die Überwachungsmittel selbst enthalten;

Fig. 8 eine Steuergerätestruktur mit drei Mikrorechnern,

Fig. 9 eine Steuergerätestruktur eines weiteren erfindungsgemäßen Steer-by-Wire-Lenksystems,

Fig. 10 eine Logikschaltung zur Ansteuerung der Freigabesignale der Leistungselektronikeinheiten,

Fig. 11 die dynamische Ansteuerung der Freigabesignale der Leistungselektronikeinheiten und

Fig. 12 eine Logikschaltung zur Ansteuerung der Kupplung

Beschreibung der Ausführungsbeispiele

Vorab wird anhand der Fig. 1 bis 4 die Struktur und grundsätzliche Funktionsweise eines Steer-by-Wire- Lenksystems mit hydraulischer oder mechanischer Rückfallebene beschrieben. Ein Steer-by-Wire-Lenksystem mit hydraulischer Rückfallebene ist Gegenstand der deutschen Patentanmeldung 198 38 490.4 der Robert Bosch GmbH.

Die in Fig. 1 gezeigte Struktur unterscheidet sich von der in Fig. 2 gezeigten Struktur darin, dass bei dem Steer-by- Wire-Lenksystem gemäß Fig. 1 im Steer-by-Wire-Betrieb die nicht dargestellten gelenkten Räder durch einen Lenkmotor LM verstellt werden, während Fig. 2 eine Ausführungsvariante mit zwei Lenkmotoren LM_vl und LM_vr darstellt.

In den Fig. 1 und 2 ist ein Lenkradmotor LRM dargestellt, welcher den Feedback-Aktuator für die dem Fahrer über das Lenkrad zu übertragenden Rückstellkräfte bildet.

Die hydraulische Rückfallebene ist durch symmetrische Hydraulikzylinder, einen Druckspeicher SP für Hydraulikfluid und wahlweise eine Kupplung KU zwischen Lenkradmotor LRM und dem mechanischen Eingriff der Lenksäule an den beiden lenkradseitigen Hydraulikzylindern oder ein den (die) lenkgetriebeseitigen Hydraulikzylinder im Steer-by-Wire-Betrieb kurzschließendes Umschaltventil USV angegeben, wobei diese Hydraulikkomponenten untereinander durch Hydraulikleitungen verbunden sind.

Bei der in Fig. 2 gezeigten Variante mit einem linksseitigen und rechtsseitigen Lenkmotor LM_vl und LM_vr sind im Unterschied zu Fig. 1 statt des einen lenkgetriebeseitigen Doppelzylinders zwei Einzelhydraulikzylinder für die hydraulische Rückfallebene vorgesehen, und das Umschaltventil USV liegt in einer Bypassleitung zwischen den beiden durch eine Hydraulikleitung miteinander verbundenen lenkgetriebeseitigen Hydraulikzylindern.

Ein Ausführungsbeispiel eines Steer-by-Wire-Lenksystems mit mechanischer Rückfallebene ist in Fig. 1a dargestellt. Die mechanische Rückfallebene weist eine geteilte Lenksäule und eine Kupplung KU in der Lenksäule auf. Im Steer-by-Wire- Betrieb ist die Kupplung KU geöffnet und damit ist der mechanische Durchgriff zwischen Lenkrad und Zahnstange des Lenkgestänges unterbrochen. Eine Lenkbewegung erfolgt durch den Lenkmotor LM unter Zwischenschaltung eines Getriebes und eines Lenkgestänges.

Im Falle eines Fehlers wird die Kupplung KU geschlossen, so dass ein direkter Durchgriff des Lenkrads auf die Zahnstange des Lenkgestänges gegeben ist. Die Kupplung KU ist im spannungslosen Zustand des Steuergerätes geschlossen.

Anstelle der in den Fig. 1, 1a und 2 dargestellten Ausführungsvarianten eines direkten Stelleingriffes des Lenkmotors LM könnte der Lenkmotor LM auch die Verstellung des Hydraulikstromes zur Lenkmomentunterstützung über den Drehschieber einer hydraulischen Servolenkung realisieren.

In den Fig. 3 und 4 ist in Form von Funktionsblöcken die grundsätzliche Steuer- und Regelstruktur eines Steer-by- Wire-Lenksystems dargestellt.

Der vom Fahrer vorgegebene Lenkradwinkel δ_H wird durch einen Lenkradwinkelsensor 10 erfasst. Der Lenkradwinkel δ_H wird gezielt mit Hilfe einer Sollwertbildung 11 situationsabhängig unter Verwendung von fahrdynamischen Größen, wie z. B. Fahrgeschwindigkeit v, Gierwinkelgeschwindigkeit ω zu einem modifizierten Lenkradwinkel δ_H* modifiziert, der als Sollwert eines Lenkreglers 12 dient.

Der Lenkregler 12 erzeugt für den Lenkmotor LM eine Stellgröße, die in Form einer Spannung U_V dem Lenkmotor LM angelegt wird.

Alternativ erzeugt gemäß den Fig. 2 und 4, wo an jedem Vorderrad ein Lenkmotor LM_vl, LM_vr angebracht ist, der Lenkregler 12 als Stellsignale eine Spannung U_v,l für den linken Lenkmotor LM_vl, und eine Spannung U_v,r für den rechten Lenkmotor LM_vr. In diesem Fall können die Vorderräder radweise und prinzipiell unabhängig voneinander gelenkt werden. In Fig. 3 empfängt der Lenkregler den sensorisch gemessenen Lenkwinkel δ_V für beide Vorderräder und in Fig. 4 separat die sensorisch gemessenen Lenkwinkel δ_v,l und δ_v,r jeweils für das linke und rechte Vorderrad.

Die Rückwirkungen von der Fahrbahn auf die gelenkten Räder, welche den Fahrerlenkwunsch δ_H stark beeinflussen, können z. B. mit einem Rückstellmomentensensor 14 als Rückstellmoment M_v bzw. an beiden Rädern als Rückstellmomente M_v,l und M_v,r, gemessen werden. Um diese Rückwirkungen auch dem Fahrer mitzuteilen ist ein Feedback- Aktuator vorgesehen, der der Lenksäule und damit auch dem Lenkrad des Fahrzeugs ein den Rückwirkungen enstprechendes Moment aufprägt. Dieses nachfolgend als Handmoment M_H bezeichnete Moment kann von einem Handmomentensensor 13 an der Lenksäule gemessen werden.

Der Feedback-Aktuator des mit Steer-by-Wire-Lenksystem ausgestatteten Fahrzeugs besteht aus dem elektrischen Lenkradmotor LRM, der über ein Getriebe (nicht dargestellt) mit dem Lenkrad gekoppelt ist und gemäß den Fig. 3 und 4 durch einen Lenkradregler 16 geregelt wird. Hierzu ermittelt der Lenkradregler 16 ein Sollhandmoment M_H,Soll, auf der Basis des von einem Rückstellmomentensensor 14 gemessenen Rückstellmoments M_V oder auf der Basis der Ströme (I_v, I_v,l, I_v,r). an den Lenkmotoren LM, LM_vl, LM_vr).

Im Folgenden werden die Begriffe Lenksteller und Lenkmotor sowie Feedback-Aktuator und Lenkradmotor synonym verwandt.

Alternativ kann der Lenkradregler 16 das Sollhandmoment M_H,Soll auch mit Hilfe eines Feedback-Simulators 15 aus den sensorisch gemessenen Lenkwinkeln δ_v (bzw. δ_v,l und δ_v,r) und anderen im Fahrzeug vorhanden Signalen, wie der Fahrgeschwindigkeit v und dem Reibbeiwert µ zwischen Straße und Reifen nachbilden. Der Lenkradregler 16 steuert den Lenkradmotor LRM mit der Stellgröße U_H entsprechend dem Sollhandmoment M_H,Soll so an, dass das vom Handmomentensensor 13 gemessene Handmoment M_H dem Sollhandmoment M_H,Soll entspricht.

Anhand der Fig. 5 bis 8 werden vier Ausführungsvarianten erfindungsgemäßer Steuergeräte in ihrer Struktur und Funktion dargestellt.

Fig. 5 zeigt als Blockschema eine Ausführungsvariante eines Steuergeräts mit einem einzigen Mikrorechnersystem. Das Mikrorechnersystem beinhaltet einen Mikrorechner RM sowie die zugehörigen Peripheriekomponenten für die Erfassung aller Sensorsignale. Zudem sind darin auch die erforderlichen Verarbeitungsfunktionen zur Bildung der Ansteuersignale für die Leistungselektronikkomponenten LE_LM, LE_LRM zur Erzeugung der Ansteuersignale U_H für den Lenkradmotor LRM und U_V bzw. U_v,l und U_v,r für den Lenkmotor LM bzw. die Lenkmotoren LM_vl, und LM_vr enthalten. K₁ bezeichnet ein Kommunikationssystem, das z. B. durch einen seriellen Bus wie einen CAN-Bus realisiert ist, der die Verbindung zu weiteren Steuergeräten im Kraftfahrzeug oder auch zu einem Diagnosesystem für die Fehlerinformation herstellt. K₁ kann einfach oder redundant sein.

Das Überwachungsmodul ÜM innerhalb des Steuergeräts dient zur Überwachung des fehlerfreien Betriebs der Steer-by- Wire-Funktionen des Mikrorechners RM und der dazugehörigen Peripheriekomponenten und kann z. B. als Mikroprozessor oder ASIC realisiert sein.

Im Mikrorechner RM sind folgende Funktionen implementiert:

- Sensorsignalerfassung und Berechnung der Ansteuersignale U_H für die Regelung des Lenkradmotors LRM,
- Sensorsignalerfassung und Berechnung der Ansteuersignale U_V für die Regelung des Lenkmotors LM,
- Überwachung der Rückfallebene
- Schnittstelle zum Kommunikationssystem K₁

Eine detaillierte Beschreibung dieser Teilfunktionen wird in den folgenden Abschnitten A bis H dargestellt.

A: Sensorsignalerfassung und Berechnung der Ansteuersignale für die Regelung des Lenkradmotors

Zur Ansteuerung des Lenkradmotors LRM werden folgende Signale über periphere Komponenten des Mikrorechnersystems RM erfasst:

- Lenkradwinkel δ_H1 und δ_H2,
- Motormoment M_H des Lenkradmotors LRM. In einer weiteren Realisierungsvariante erfolgt die Bestimmung des Motormomentes durch die gemessenen Motorströme;
- Rotorposition δ_PH des Lenkradmotors LRM; z. B. bei Verwendung eines BLDC-, Asynchron- oder Switched- Reluctance Motors,
- Istwerte der Phasenströme I_H des Lenkradmotors LRM,
- Temperatur T_H des Lenkradmotors LRM; in einer alternativen Realisierung kennzeichnet das Signal T_H die Temperatur der Endstufen innerhalb der Leistungselektronik LE_LRM für den Lenkradmotor LRM oder beinhaltet beide Temperaturen,
- Klemmenspannung des Bordnetzes UB.

Für die Ansteuerung der Leistungselektronik LE_LRM dient primär das Ansteuersignal U_H. Dieses Ansteuersignal ist Stellgröße eines digitalen Reglers und kann z. B. als impulsdauermoduliertes (PWM)-Signal ausgegeben werden. Die Stellgröße U_H wird aus dem gemessenen Motormoment M_V des Lenkmotors LM, der Rotorposition δ_RH des Lenkradmotors LRM und weiteren Kenngrößen, die den Zustand der Fahrzeuges bzw. der Fahrbahn charakterisieren, berechnet. Eine Ansteuerung des Lenkradmotors LRM über die Leistungselektronik LE_LRM erfolgt auf die Freigabe durch die Freigabesignale g_RH und g_ÜH. Ein der Leistungselektronik vorgeschaltetes erstes Motorrelais 17 wird über die Signale f_RH und f_ÜH angesteuert.

B: Sensorsignalerfassung und Berechnung der Ansteuersignale für die Regelung des Lenkmotors

Zur Ansteuerung des Lenkmotors LM werden die folgenden Signale über periphere Komponenten innerhalb des Mikrorechnersystems RM erfasst:

- Lenkwinkel δ_V1 und δ_V2
- Motormoment M_V des Lenkmotors LM,
- Rotorposition δ_PV, des Lenkmotors, z. B. bei Verwendung eines BLDC-, Asynchron- oder Switched-Reluctance Motors,
- Istwerte der Phasenströme I_V des Lenkmotors,
- Temperatur T_V des Lenkmotors; in einer alternativen Realisierung kennzeichnet das Signal T_V die Temperatur der Endstufen innerhalb der Leistungselektronik LE_LM für den Lenkmotor oder beinhaltet beide Temperaturen und
- optional die Klemmenspannung UB des Bordnetzes.

Zur Regelung des gewünschten Lenkwinkels δ_V wird zunächst aus den gemessenen Größen δ_v1, und δ_v2 der repräsentative Wert z. B. durch Mittelwertbildung bei voll funktionsfähiger Winkelsensorik gebildet. Die Führungsgröße des Reglers wird bei der Sollwertbildung aus einem repräsentativen Wert der gemessenen Lenkradwinkel δ_H1 und δ_H2 und der aktuellen Lenkübersetzung gebildet. Bei Lenkeingriffen durch ein fahrdynamisches System wird die Führungsgröße für den Lenkwinkel zusätzlich unter Verwendung der Gierwinkelgeschwindigkeit ω und der Querbeschleunigung a_y des Fahrzeugs berechnet, oder es wird ein über das Kommunikationssystem K₁ übermittelter Winkel bzw. Differenzwinkel δ_F verwendet. Bei Nutzung der Steuergerätestruktur zur Realisierung eines Spurführungssystems könnte der Winkel δ_F auch die Führungsgröße für den Lenkwinkeleingriff repräsentieren, der von einem übergeordneten Steuersystem berechnet und vorgegeben wird.

Die Ansteuerung der Leistungselektronik LE_LM des Lenkmotors LM wird primär durch das Ansteuersignal U_V durchgeführt. Dieses Ansteuersignal ist Stellgröße eines digitalen Reglers und kann z. B. als PWM-Signal ausgegeben werden. Dabei ist die aktuell verfügbare Spannungslage der Bordnetzspannung UB zu berücksichtigen. Eine Ansteuerung des Lenkmotors LM über die Leistungselektronik LE_LM erfolgt, falls die Freigabesignale g_RV und g_ÜV gesetzt sind. Ein der Leistungselektronik vorgeschaltetes zweites Motorrelais 18 wird über die Signale f_RV und f_ÜV angesteuert.

C: Überwachung der Rückfallebene und Umschaltung auf die Rückfallebene

Wesentliche Kenngröße der Verfügbarkeit der Rückfallebene des Steer-by-Wire-Lenksystems ist der Druck p_S in der Hydraulikeinheit. Dieser Druck p_S wird am Druckspeicher SP fortlaufend oder in gewissen Zeitabschnitten gemessen und dem Mikrorechner RM in Form eines analogen Signales p_s übermittelt. Das Umschaltventil USV wird im Normalbetrieb über die Signale b_RU und b_ÜU vom Überwachungsmodul ÜM angesteuert. Fehlt eines dieser Ansteuersignale, so schaltet das Umschaltventil USV in die hydraulische Rückfallebene um. Bei Ausfall des Bordnetzes ist damit automatisch ein Betrieb in der Rückfallebene gegeben. Im Falle eines signifikanten Fehlers wird vom Steer-by-Wire- Lenksystem das Ansteuersignal b_RU bzw. vom Überwachungsmodul das Signal b_ÜU weggenommen und damit in die Rückfallebene umgeschaltet.

D: Schnittstelle zu weiteren Steuergeräten bzw. Anzeige einheiten

Über das Kommunikationssystem K₁ werden die Sensorsignale für die Gierwinkelgeschwindigkeit ω und für die Querbeschleunigung a_y dem Mikrorechnersystem zugeführt. Zudem werden über K₁ Schätzwerte für die Reibkoeffizienten µ_vl und µ_vr zwischen linkem Rad und Straße sowie zwischen rechtem Rad und Straße und ein Schätzwert der Fahrzeuggeschwindigkeit v übertragen. Außerdem kann über dieses Kommunikationssystem eine Führungsgröße δ_F für den Radlenkwinkel bei einem Fahrdynamikeingriff über das Lenksystem oder bei einem Spurführsystem vorgegeben werden.

Über dieses Kommunikationssystem können zudem Signale d_B einem nicht dargestellten Informationssystem übermittelt werden, die den Fahrer über eventuelle Fehlerzustände des Systems oder z. B. auch über die Umschaltung in die hydraulische Rückfallebene informieren. Die Signale d_m werden an andere Steuergeräte gesandt, die z. B. eine Reduzierung der Fahrgeschwindigkeit bei einem Übergang in die hydraulische Rückfallebene bewirken.

E: Sicherheitsmaßnahmen im Steuergerät

Zur Einhaltung der an ein Steer-by-Wire-Lenksystem gestellten Sicherheitsanforderungen müssen alle innerhalb des Systems auftretenden Einfachfehler in einer systemtypischen Fehlertoleranzzeit sicher erkannt werden. Nach dem Erkennen eines signifikanten Fehlers wird das SbW- Lenksystem während einer Übergangszeit (z. B. innerhalb 5 sec) zunächst in einen Rückfallbetriebszustand überführt. In diesem Betriebszustand werden keine übergeordneten Lenkfunktionen mehr durchgeführt, d. h. fahrdynamische Lenkeingriffe, Lenkeingriffe zur Seitenwindkompensation oder Eingriffe in das Lenksystem, die das Übersetzungsverhältnis zwischen Lenkradwinkel und Lenkwinkel verändern, werden definiert beendet. Nach Ablauf dieser Übergangszeit oder nach Beendigung aller übergeordneten Lenkfunktionalitäten oder bei Auftreten eines signifikanten zweiten Fehlers in der Übergangszeit wird die Ansteuerung der Kupplung KU (siehe Fig. 1, 1a und 2) in der Lenksäule beendet und somit die Rückfallebene aktiviert. Hierzu sind folgende Maßnahmen vorgesehen:

- Redundante Erfassung des Lenkradwinkels (δ_H1, δ_H2)
- Redundante Erfassung des Lenkwinkels δ_V bzw. der Lenkwinkel an der Vorderachse (δ_V1, δ_V2)
- Ansteuerung des Lenkradmotors (LRM) über die Steuersignale U_H für die Phasenströme und das Freigabesignal g_RH
- Redundanter Abschaltpfad für den Lenkradmotor LRM wie auch für den Lenkmotor LM über zugeordnete Motorrelais (nicht bei Switched-Reluctance-Motoren)
- Überwachung der Sensorsignale durch Plausibilitätsprüfungen und analytische Redundanz
- Überwachung des Mikrorechnermoduls RM durch das Überwachungsmodul ÜM und umgekehrt.

F: Überwachungskonzept des Steuergeräts

Das Überwachungskonzept des Steuergeräts ist in vier logische Ebenen L₁, L₂, L₃ und L₄ und zwei Hardwareebenen RM und ÜM strukturiert.

Das Überwachungsmodul ÜM kommuniziert mit dem Mikrorechnermodul RM mittels eines internen Bussystems. Dies dient zur Überprüfung der Rechenfähigkeit dieses Mikrorechnersystems und zur Überwachung der Programmabläufe innerhalb des Rechners. Durch die gewählte Art der Datenkommunikation zwischen dem Mikrorechnermodul RM und dem Überwachungsmodul ÜM werden diese Komponenten gegenseitig überwacht. Dazu sind den logischen Ebenen folgende Funktionen zugeordnet:

Ebene L₁

Die Ebene L₁ ist im Mikrorechner RM realisiert. Sie übernimmt folgende Aufgaben:

- Plausibilitätsüberprüfungen der Eingangssignale
- Auswahl der für die Verarbeitung erforderlichen Lenkradwinkel und Lenkwinkel aus den jeweils redundant vorliegenden Sensorsignalen
- Berechnung der Regelfunktionen für die Ansteuerung des Lenkradmotors (LRM) und Lenkmotors (LM)
- Änderung der Ansteuerung des Umschaltventils USV im Fehlerfall zum Übergang in die hydraulische Rückfallebene

Ebene L₂

Die Ebene L₂ ist im Mikrorechner RM eingebunden. Diese Ebene übernimmt die Prüfung der Korrektheit der in Ebene L₁ durchgeführten Berechnungen mittels Algorithmen, die diversitär zu denen in Ebene L₁ sind. Zur Durchführung der Berechnungen werden zudem die redundant in den Speicherzellen abgelegten Eingangsdaten verwendet, wodurch Fehler durch verfälschte Speicherinhalte erkannt werden. Für die Überprüfung der Reglerfunktionen sind vereinfachte parallel geschaltete Regleralgorithmen vorgesehen, die mit den redundant abgelegten Daten für die Führungsgrößen und den aktuellen Istwerten der Regelgrößen berechnet werden. Bei signifikanten Abweichungen zwischen diesen vereinfachten Stellgrößenberechnungen und den in Ebene L₁ durchgeführten Berechnungen wird ein Fehlerzustand erkannt. Zudem wird in Ebene 2 auch die korrekte Funktion der beiden Regelstrecken überprüft. Hierzu ist jeweils ein mathematisches Modell der Regelstrecke vorgesehen, das die dynamischen Zusammenhänge zwischen den Stellgrößen und den Regelgrößen auch unter Einbeziehung von Störgrößen beschreibt. Diesen Modellen werden die in den Regelalgorithmen in Ebene L₁ berechneten Stellgrößen zugeführt. Bei signifikanten Abweichungen zwischen den Modellausgangsgrößen und den zugeordneten gemessenen Istwerten der Regelgrößen wird ein Fehlerzustand erkannt.

Bei einem durch das Mikrorechnermodul RM in Ebene L₂ wie auch in Ebene L₃ erkannten Fehler werden die zugehörigen Freigabesignale g_RV bzw. g_RH für die Ansteuerung der jeweiligen Leistungselektronik LE_LM bzw. LE_LRM des Lenkmotors LM bzw. Lenkradmotors LRM zurückgesetzt.

Ebene L₃

Diese Ebene ist im Mikrorechnermodul RM realisiert. Um die sichere Funktion des Steer-by-Wire-Lenksystems im Falle eines Rechner- oder Programmfehlers zu gewährleisten, müssen im Fehlerfall die Programme in Ebene L₁ und L₂ trotzdem noch ordnungsgemäß ablaufen oder der nicht ordnungsgemäße Ablauf muss sicher erkannt werden. Die Kontrolle erfolgt in der dargestellten Ausführungsvariante durch eine Frage-Antwort-Kommunikation der Ebenen L₃ und L₄. Das Mikrorechnersystem RM holt aus dem Überwachungsmodul ÜM eine Frage ab und beantwortet diese jeweils unter Berücksichtigung aller sicherheitsrelevanten Programmteile innerhalb eines vorgegebenen Zeitintervalls. Eine Frage kann nur dann richtig beantwortet werden, wenn ein fehlerfreier Ablauf der Programme für den Rechnerfunktionstest und den Befehlstest gegeben ist. Die aus den Teilprogrammen gebildeten Teilantworten werden zu einer Gesamtantwort zusammengefasst und der Ebene L₄ im Überwachungsmodul ÜM zugeführt.

Ebene L₄

Diese Ebene ist im Überwachungsmodul ÜM realisiert. Hierin wird die vom Mikrorechner RM bereitgestellte Gesamtantwort hinsichtlich des Zeitintervalls des Eintreffens und auf bitgenaue Übereinstimmung mit der zur Frage passenden richtigen Antwort überprüft. Bei einem nicht ordnungsgemäßen Ablauf der Frage-Antwort Kommunikation in Ebene L₃ werden in der Überwachungskomponente ÜM die Freigabesignale g_ÜV, bzw. g_ÜH für die Ansteuerung der Motoren, die Freigabesignale f_ÜV bzw. f_ÜH für die Ansteuerung der Motorrelais und das Ansteuersignal b_ÜU für das Umschaltventil zurückgesetzt.

G: Maßnahmen zur Sensorüberwachung

Die Winkelsensorwerte (δ_H1, δ_H2) am Lenkrad werden zueinander auf Plausibilität geprüft. Zudem kann der Messwert des Momentensensors unter Einbeziehung der mechanischen Trägheiten des Lenkrades und eines mathematischen Modells für die Drehbewegung wie auch des aktuellen Reibwertes zur Überprüfung dieser Messwerte verwendet werden. Wird für den Lenkradmotor LRM ein BLDC-, ein Asynchron- oder ein Switched-Reluctance-Motor eingesetzt, so ist für die Regelung der Phasenströme ein Positionssensor mit Winkelbereich zwischen 0 und 360° erforderlich. Diese Sensorinformation kann zudem für die Überprüfung der gemessenen Lenkradwinkel genutzt werden, oder in einer vereinfachten Realisierungsvariante kann unter Einbeziehung dieser Positionsmessung ein Winkelsensor mit reduzierter Auflösung genutzt werden.

Der Momentenmesswert am Lenkrad kann unter Einbeziehung der gemessenen Phasenströme und der zur Motorüberwachung erforderlichen Temperaturmessgröße mittels eines mathematischen Modells auf Plausibilität überwacht werden.

Die Winkelsensorwerte (δ_V1, δ_V2) am Lenkmotor LM werden zueinander auf Plausibilität geprüft. Zudem können die gemessenen Messwerte des Lenkradwinkels (δ_H1, δ_H2) zur Lokalisierung des fehlerbehafteten Sensors bei Abweichungen zwischen den Sensorwerten δ_V1 und δ_V2 genutzt werden. Dies geschieht unter Einrechnung der momentanen Lenkübersetzung und Berücksichtigung eventuell auftretender fahrdynamischer Lenkeingriffe. Diese Fehlerlokalisierungsmaßnahme kann auch in umgekehrter Richtung zur Erkennung eines fehlerbehafteten Lenkradsensors genutzt werden. Wird für den Lenkmotor LM eine Asynchronmaschine oder ein Switched Reluctance Motor eingesetzt, so ist für die Regelung der Phasenströme ein Positionssensor mit Winkelbereich zwischen 0 und 360° erforderlich. Diese Sensorinformation kann zudem für die Überprüfung der gemessenen Lenkwinkels genutzt werden, oder in einer vereinfachten Realisierungsvariante kann unter Einbeziehung dieser Positionsmessung ein Winkelsensor mit reduzierter Auflösung genutzt werden. Der Momentenmesswert am Lenkmotor kann ebenfalls unter Einbeziehung der gemessenen Phasenströme und der zur Motorüberwachung erforderlichen Temperaturmessgröße mittels eines mathematischen Modells auf Plausibilität überwacht werden.

Vor Fahrtbeginn kann durch Aufschaltung eines definierten Sollmoments am Lenkradmotor die gesamte Funktionskette des Steer-by-Wire-Steuergeräts getestet werden.

H: Besonderheiten der verschiedenen Ausführungsvarianten des Steuergeräts

In der in Fig. 6 dargestellten Ausführungsvariante erfolgt eine Aufteilung der zuvor dargestellten Funktionen auf zwei Mikrorechner RM₁ und RM₂. Der Mikrorechner RM₁ übernimmt dabei die Regelungs- und Überwachungsfunktionen des Lenkmotors LM und die Drucküberwachung der hydraulischen Rückfallebene. Der Mikrorechner RM₂ hat die Aufgabe, den Feedback-Aktuator LRM für das Lenkrad zu regeln und die Rückfallebene anzusteuern. Beide Komponenten können untereinander und mit anderen Rechnersystemen über das Kommunikationssystem K, Daten austauschen oder auch über einen in Fig. 6 nicht dargestellten Pfad direkt miteinander kommunizieren. Die Funktionalität der beiden Rechnersysteme RM₁ und RM₂ wird entsprechend den Ausführungen in Abschnitt F (Struktur der Überwachung) durch die separaten Überwachungsmodule ÜM₁ bzw. UM₂ überprüft.

In der Realisierungsvariante gemäß Fig. 7 erfolgt die Funktionsaufteilung des Steuergeräts wiederum auf zwei Mikrorechnersysteme RM₁, RM₂ entsprechend der Ausführungsvariante gemäß Fig. 6. Ein zweites Kommunikationssystem K₂ erlaubt eine direkte Kommunikation zwischen beiden Mikrorechnersystemen RM₁, RM₂.

Die in Abschnitt F (Struktur der Überwachung) dargestellten Funktionen der Ebene der Überwachungskomponente werden jetzt von der jeweils benachbarten Rechnereinheit übernommen, d. h. RM₁ übernimmt die Überwachung der Komponente RM₂ und umgekehrt.

In der Ausführungsvariante gemäß Fig. 8 erfolgt die Funktionsaufteilung der Steuergeräte auf drei Mikrorechnersysteme. Die Komponente RM₁ übernimmt dabei die Regelungs- und Überwachungsfunktionen des Lenkmotors und die Drucküberwachung der hydraulischen Rückfallebene. Die Komponente RM₂ hat die Aufgabe, den Feedback-Aktuator für das Lenkrad zu regeln und die Rückfallebene anzusteuern. Beide Komponenten können untereinander über das Kommunikationssystem K₂ Daten austauschen.

Die in Abschnitt F (Struktur der Überwachung) dargestellten Funktionen der Ebene der Überwachungskomponente werden jetzt von der Rechnereinheit RM₀ übernommen, die zusätzlich die Kommunikation mit anderen Rechnerkomponenten wahrnimmt.

In Fig. 9 ist ein Ausführungsbeispiel eines erfindungsgemäßen Steer-by-Wire-Lenksystems mit sechs Mikrorechnern (RM_H1, . . ., RM_V3) und mechanischer Rückfallebene dargestellt, bei der der Lenkradaktuator mit den beiden unabhängigen Elektromotoren LRM1 und LRM2 realisiert wird. In einer weiteren nicht dargestellten Variante könnten die beiden Elektromotoren auch mit einer gemeinsamen Antriebswelle und einem gemeinsamen Gehäuse ausgeführt sein, sodass lediglich die Motorspulen redundant ausgeführt sind. Diese Realisierungsvariante des Elektromotors kann auch beim Lenkmotor eingesetzt werden.

Die Mikrorechner RM_H1, RM_H2 und RM_H3 übernehmen die Steuer- und Regelfunktionen des Feedbackaktuators. Die Mikrorechner RM_V1, RM_V2 und RM_V3 bilden zusammen das redundante Rechnersystem zur Ansteuerung und Regelung des Feedbackaktuators. Die Mikrorechner RM_Hi des Feedback- Aktuators tauschen über die Kommunikationsverbindungen K_H12, K_H13 und K_H23 ihre berechneten Daten aus. Dasselbe geschieht zwischen den Mikrorechnern RM_Vi des Lenkstellers mittels der Kommunikationverbindungen K_V12, K_V13 und K_V23. Die dargestellten Mikrorechner RM_Vi bzw. RM_Hi beinhalten die zugehörigen Peripheriekomponenten für die Erfassung aller Sensorsignale. Zudem sind darin auch die erforderlichen Verarbeitungsfunktionen zur Berechnung der Ansteuersignale U_H1 und U_H2 für die Lenkradmotoren LRM bzw. U_V1 und U_V2 für die Ansteuerung des Lenkmotoren LM enthalten. In der dargestellten Realisierungsvariante ist der Feedbackaktuator durch zwei unabhängige Motoren LRM1 und LRM2 realisiert, die von unabhängigen Leistungselektronikeinheiten LE_LRM1 bzw. LE_LRM2 angesteuert werden. Beide Motoren wirken auf dieselbe Welle. Der Lenkaktuator ist durch die beiden Motoren LM1 und LM2 bzw. die zugeordneten Leistungselektronikeinheiten LE_LM1 bzw. LE_LM2 ebenfalls redundant aufgebaut. Die Energieversorgung der Elektronikkomponenten des SbW-Lenksystems erfolgt durch die unabhängigen Spannungsversorgungen UB1 bzw. UB2.

Von UB1 werden die Mikrorechnersysteme RM_H1 und RM_V1 sowie die Motoren LRM1 und LM1 samt der zugehörigen Leistungselektronik und Abschaltlogik (AL_LRM1, AL-MR_LRM1, AL_LM1, AL-MR_LM1) gespeist. Die Energiequelle UB2 versorgt die Mikrorechnersysteme RM_H2 und RM_V2 sowie die Motoren LRM2 und LM2 samt der zugehörigen Leistungselektronik und Abschaltlogik (AL_LRM2, AL-MR_LRM2, AL_LM2, AL-MR_LM2). Die Mikrorechner RM_H3 und RM_V3 sowie die elektromagnetische Kupplung KU werden von beiden Energiequellen gespeist. K₁ und K₂ kennzeichnen jeweils ein unabhängiges Kommunikationssystem, z. B. realisiert mittels eines seriellen Busses, das die Kommunikation zwischen den Rechnerkomponenten RM_Hi für den Feedbackaktuator und den Komponenten RM_Vi für den Lenkungsaktuator ermöglicht. Die zwischen diesen Komponenten ausgetauschten Daten werden mit a_VH bezeichnet. Diese Kommunikationssysteme K₁ und K₂ ermöglichen zudem die Kommunikation zu weiteren Steuergeräten im Kfz.

In den Komponenten RM_H1, RM_H2 und RM_H3 sind folgende Funktionen implementiert:

- Sensorsignalerfassung und Berechnung der Ansteuersignale U_H1 und U_H2 für die Regelung der Lenkradmotoren LRM1 und LRM2.
- Austausch der berechneten Daten über die zwischen den Mikrorechnereinheiten wirkenden Kommunikationsverbindungen K_H12, K_H13 und K_H23, Vergleich der Rechenergebnisse und gegebenenfalls Einleitung einer Rückfallstrategie
- Umschaltung auf die Rückfallebene
- Schnittstelle zu weiteren Steuergeräten bzw. Anzeigeeinheiten

In den Komponenten RM_V1, RM_V2 und RM_V3 sind folgende Funktionen realisiert:

- Sensorsignalerfassung und Berechnung der Ansteuersignale U_V1 und U_V2 für die Regelung des Lenkmotors LM1 und LM2.
- Austausch der berechneten Daten über die zwischen den Mikrorechnereinheiten wirkenden Kommunikationsverbindungen K_V12, K_V13 und K_V23, Vergleich der Rechenergebnisse und gegebenenfalls Einleitung einer Rückfallstrategie
- Umschaltung auf die Rückfallebene
- Schnittstelle zu weiteren Steuergeräten bzw. Anzeigeeinheiten

Diese Funktionen werden im Folgenden beschrieben.

Es werden die beim Ausführungsbeispiel gemäß Fig. 5 genannten Signale zur Ansteuerung der Lenkradmotoren LRM1 und LRM2 über periphere Erfassungskomponenten erfasst und den Mikrorechnersystemen RM_H1, RM_H2 und RM_H3 zugeführt. Redundant vorhandene Komponenten werden gesondert erfasst. Redundant vorhandene Sensoren geben je ein Signal ab. Im Folgenden wird durch die Indizierung auf die Redundanz von Komponenten und Sensoren hingewiesen.

Die erfassten Signale werden in Fig. 9 für den Motor LRM1 unter der Notation E_LRM1 und für den Motor LRM2 unter der Bezeichnung E_LRM2 zusammengefasst.

Für die Ansteuerung der Leistungselektronikeinheiten LE_LRM1 bzw. LE_LRM2 dienen primär die Ansteuersignale U_H1 und U_H2. Eine Ansteuerung des Lenkradmotors LRM1 über die Leistungselektronik LE_LRM1 erfolgt, falls eine Freigabe über die Abschaltlogik AL_LRM1 ansteht und zudem das Motorrelais über die Abschaltlogik AL-MR_LRM1 geschlossen ist. In entsprechender Weise erfolgt die Ansteuerung des Lenkradmotors LRM2 über die Leistungselektronik LE_LRM2, falls eine Freigabe über die Abschaltlogik AL_LRM2 ansteht und zudem das Motorrelais über die Abschaltlogik AL-MR_LRM2 geschlossen ist.

B: Sensorsignalerfassung und Berechnung der Ansteuersignale für die Regelung der Lenkmotoren

Zur Ansteuerung der Lenkmotoren LM1 und LM2 werden die bezüglich das Ausführungsbeispiel gemäß Fig. 5 genannten Signale über periphere Erfassungskomponenten erfasst und den Mikrorechnersystemen RM_V1, RM_V2 und RM_V3 zugeführt.

Diese Signale werden in Fig. 9 für den Motor LM1 unter der Notation E_LM1 und für den Motor LM2 unter der Bezeichnung E_LM2 zusammengefasst.

Für die Ansteuerung der Leistungselektronikeinheiten LE_LM1 bzw. LE_LM2 dienen primär die Ansteuersignale U_V1 und U_V2. Diese Ansteuersignale sind Stellgrößen eines digitalen Reglers und können z. B. als PWM-Signale ausgegeben werden. Die Stellgrößen U_Vi werden aus einem repräsentativen Wert der gemessenen Lenkradwinkeln δ_H1 und δ_H2 und der aktuellen Lenkübersetzung gebildet. Bezüglich Lenkeingriffen durch ein fahrdynamisches System gilt das bezüglich des Ausführungsbeispiels gemäß Fig. 5 gesagte entsprechend.

Eine Ansteuerung des Lenkmotors LM1 über die Leistungselektronik LE_LM1 erfolgt, falls eine Freigabe über die Abschaltlogik AL_LM1 ansteht und zudem das Motorrelais über die Abschaltlogik AL-MR_LM1 geschlossen ist. In entsprechender Weise erfolgt die Ansteuerung des Lenkmotors LM2 über die Leistungselektronik LE_LM2, falls eine Freigabe über die Abschaltlogik AL_LM2 ansteht und zudem das Motorrelais über die Abschaltlogik AL-MR_LM2 geschlossen ist.

C:4 Überwachung der Rückfallebene und Umschaltung auf die Rückfallebene

Wesentliche Kenngrößen der Verfügbarkeit der Rückfallebene des SbW-Lenksystems sind die Ströme in den beiden Spulen S₁ und S₂ der Kupplung. Diese Ströme werden fortlaufend erfasst. Zur Überprüfung der Funktion des Übergangs zur mechanischen Rückfallebene werden während des Fahrbetriebes abwechselnd die Stromkreise der Kupplungsspulen durch die Signale r_V1 und r_V2 bzw. r_H1 und r_H2 unterbrochen. Ein Übergang in die mechanische Rückfallebene ist möglich, wenn dabei die zugehörigen Spulenströme jeweils auf den Wert Null zurückgehen.

D: Schnittstelle zu weiteren Steuergeräten bzw. Anzeigeeinheiten

Es gilt das bezüglich des Ausführungsbeispiels gemäß Fig. 5 gesagte entsprechend.

E: Sicherheitsmaßnahmen im Steuergerät

Die zur Einhaltung der an dieses System gestellten Sicherheitsanforderungen erforderlichen Maßnahmen entsprechen den in der Beschreibung der Fig. 5 unter "E" beschriebenen Maßnahmen. Zum Erreichen dieser Sicherheitsanforderungen ist folgendes vorgesehen:
Alle an den beiden Motoren LRM1 und LRM2 auftretenden Messsignale E_LRM1 und E_LRM2 wie auch alle Messsignale E_LSRM1 und E_LERM2 der Leistungselektronik LE_LRM1 und LE_LRM2 werden in den drei Rechnermodulen RM_H1, RM_H2 und RM_H3 erfasst. Die erfassten Messsignale werden über die Rechnerkopplungen K_H12, K_H13 und K_H23 untereinander ausgetauscht und untereinander auf Plausibilität verglichen. Für jede Messgröße wird dann ein Referenzwert z. B. durch eine 2 aus 3 Majoritätsauswahl gebildet. Durch dieses Vorgehen lässt sich ein defekter Eingangskanal einer Messgröße eindeutig lokalisieren. Ein fehlerhafter Eingangskanal wird von den weiteren Berechnungen ausgeschlossen. Gleichzeitig wird dieser Fehler in einem Fehlerspeicher abgelegt. Mit diesen Referenzwerten der einzelnen Messgrößen werden dann in allen drei Rechnermodulen die weiteren Berechnungen durchgeführt bzw. dieser Referenzwert wird über die Kommunikationssysteme K₁ und K₂ als Kommunikationsdatum a_VH den Rechnermodulen RM_V1, RM_V2 bzw. RM_V3 des Lenkaktuators bereitgestellt.

Die Berechnungen zur Bildung der Ansteuersignale U_H1 bzw. U_H2 für die Lenkradmotoren LRM1 und LRM2 werden ebenfalls in allen Mikrorechnersystemen RM_H1, RM_H2 und RM_H3 redundant durchgeführt. Die Ergebnisse werden wiederum über die Kopplungspfade K_H12, K_H13 und K_H23 untereinander ausgetauscht und zueinander auf Plausibilität überprüft.

Die Vorgehensweise einer Realisierungsvariante zur Einleitung der Abschaltstrategie wird am Beispiel der Berechnung des Ansteuersignals U_H1 erläutert. Die in den Mikrorechnersystemen RM_H1, RM_H2 und RM_H3 berechneten Ergebnisse werden mit U_H11, U_H12 und U_H13 bezeichnet. Wird beim Vergleich dieser Ergebnisse in der Rechnereinheit RM_H1 ein Fehler in U_H11 lokalisiert, der auch nach Ablauf einer Fehlertoleranzzeit weiterhin ansteht, so werden die Enable- Signale für die Leistungselektronik g_H11 und für das Motorrelais f_H11 disabled und zudem das Enable-Signal zur Kupplungsansteuerung h_HK1 zurückgesetzt. Wird beim Vergleich der Rechenergebnisse U_H11, U_H12 und U_H13 in den Rechnereinheiten RM_H3 bzw. RM_H2 Fehler in U_H11 lokalisiert, so werden entsprechend die Enable-Signale g_H31, f_H31 und h_HK3 bzw. g_H12, f_H21 und h_HK2 zurückgesetzt.

Eine Freischaltung der Ansteuersignale U_H1 und U_H2 erfolgt erst, wenn innerhalb der Abschaltlogikeinheiten für die Leistungselektronik der Lenkradmotoren AL_LRM1 bzw. AL_LRM2 jeweils die Freigabesignale m_H1 bzw. m_H2 anstehen.

Die logische Schaltung zur Bildung der Freigabesignale zur Aktivierung des Ansteuersignales U_H1 ist beispielhaft für das Freigabesignal m_H1 für die Leistungselektronik des Lenkradmotors LE_LRM1 in Fig. 10 dargestellt. Damit wird sichergestellt, dass ein Fehler, der bei der Berechnung von U_H1 in RM_H1 aufgetreten ist, bei Erkennung durch das Rechnersystem RM_H1 unmittelbar zur Abschaltung der Leistungselektronik LE_LRM1 führt bzw. durch die gemeinsame Erkennung dieses Fehlers durch die Module RM_H2 und RM_H3 indirekt eine Abschaltung dieser Leistungselektronik einleitet. Die Enable-Signale können statisch realisiert sein, die Funktion des Schaltüberganges wird dann durch Rücklesen überwacht. Es können dazu diese Enablesignale in Testphasen zyklisch gesetzt und rückgesetzt werden.

Eine weitere Realisierungsvariante ergibt sich durch eine dynamische Ansteuerung der Enablesignale.

In Fig. 11a) ist der zeitliche Verlauf der Signale g_H11, g_H31 und g_H21 eines solchen Verfahrens bei einem fehlerfreien Betrieb dargestellt. Das daraus resultierende Freigabesignal m_H1 kann in seiner korrekten zeitlichen Abfolge durch eine Watchdog-Einheit überwacht werden.

In den Fig. 11b) bis 11d) sind potentielle Fehler in den Enable-Signalen und ihre Auswirkung auf das Freigabesignal m_H1 dargestellt. In Fig. 11b) ist das Signal g_H21 auf dem Low-Wert festgehalten und in Fig. 11c) auf dem High-Wert. In Fig. 11d) ist die Fehlerauswirkung dargestellt, die aus einem Einfrieren des Zwischensignales v_H1 auf dem High- Signal resultiert.

Die Ansteuerung der Abschaltlogik für das Motorrelais AL- MR_LRM1 kann mit einer entsprechend zu Fig. 10 aufgebauten Schaltung erfolgen. Anstelle der Enable-Signale Signale g_H11, g_H31 und g_H21 sind hierbei die Enable-Signale Signale f_H11, f_H31 und f_H21 zu verwenden.

Die Ansteuerung der Kupplungseinheit erfolgt mit einer Realisierungsvariante einer Schaltung gemäß Fig. 12. Da die Kupplung jeweils alleine durch die Bestromung der Spulen S₁ bzw. S₂ in einem geöffneten Zustand (SbW-Betrieb) gehalten werden kann, wird hiermit sichergestellt, dass ein einzelner Fehler nicht zum sofortigen Übergang in die mechanische Rückfallebene führen kann. Jeder Einzelfehler führt über die Enable-Signale r_V1, r_V2, r_H1 und r_H2 jeweils nur zu einer Unterbrechung der Spulenstromkreise. Um die korrekte Funktion im Fehlerfall sicherzustellen, werden in zyklischen Testphasen während des Fahrbetriebes die einzelnen Schalter in den Zustand Öffnen gesteuert. Durch Überwachung des Verlaufes der Ströme i_S1 bzw. i_S2 kann damit die Fähigkeit zum Öffnen getestet werden.

Dies Maßnahmen können entsprechend auch für die Feedback- Aktuaktorik angewandt werden.

Die zuvor beschriebenen Steuergerätestrukturen sind auch für Steer-by-Wire-Lenksysteme gemäß Fig. 1a geeignet. Es entfällt lediglich die bei der hydraulischen Rückfallebene erforderliche Überwachung des Speicherdruckes. Das in diesen Strukturen dargestellte Umschaltventil USV ist hier jedoch durch eine Kupplungsansteuerung zu ersetzen. Die hierfür erforderlichen Ansteuersignale g_ÜH und g_ÜU werden entsprechend den Ausführungen für die hydraulische Rückfallebene im Fehlerfall erzeugt, so dass bei Auftreten von Fehlern eine sichere Umschaltung auf die mechanische Rückfallebene mit direktem Lenkdurchgriff gegeben ist.

Alle in der Zeichnung, deren Beschreibung und den Patentansprüchen offenbarten Merkmale können sowohl einzeln als auch in Kombination erfindungswesentlich sein.

Claims

1. Verfahren zum Betreiben eines Steuergeräts für eine Steer-by-Wire-Lenksystem eines Fahrzeugs, gekennzeichnet durch folgende, mindestens teilweise redundant ausgeführten Verfahrensschritte:

- Erfassen der Eingangssignale Lenkradwinkel (δ_H, δ_H1, δ_H2), Lenkwinkel (δ_V, δ_V1, δ_V2), auf die gelenkten Räder wirkendes Rückstellmoment (M_V, M_V1, M_V2), von einem Feeedback-Aktuator (LRM, LRM₁, LRM₂) auf eine Lenkhandhabe übertragenes Moment (M_H, M_H1, M_H2),
- Überwachen der erfassten Eingangssignale durch Plausibilitätsprüfungen und/oder analytische Redundanz;
- Ansteuern mindestens eines auf die gelenkten Räder des Fahrzeugs wirkenden Lenkstellers (LM, LM_vl, LM_vr) in Abhängigkeit des Lenkradwinkels (δ_H);
- Ansteuern mindestens eines auf ein Lenkrad wirkenden Feedback-Aktuators (LRM₁, LRM₁) in Abhängigkeit des Rückstellmoments (M_V, M_V1, M_V2);
- Kommunizieren mit anderen Steuergeräten oder Sensoren (10, 13, 14) des Fahrzeugs;
- Überwachen der Funktionen des Steuergeräts und der Verfügbarkeit einer Rückfallebene sowie einer Einrichtung (KU, USV) zum Aktivieren der Rückfallebene;
- Umschalten von der Steer-by-Wire-Lenkung auf die Rückfallebene bei Auftreten eines Fehlers in der Steer-by- Wire-Lenkung.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Lenkradwinkel (δ_H) von mindestens einem Lenkradwinkelsensor (10) ermittelt wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Lenkwinkel (δ_V) von mindestens einem Lenkwinkelsensor ermittelt wird.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Rückstellmoment (M_V, M_V1, M_V2) durch mindestens einen Rückstellmomentensensor (14), durch ein Rechenmodell des Fahrzeugs in Abhängigkeit fahrdymamischer Größen (v, ω, δ_H) und/oder den Phasenströmen (I_V) mindestens eines elektromotorisch betätigten Lenkstellers (LM, LM_vl, LM_vr) erfasst wird.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der oder die Lenksteller (LM, LM_vl, LM_vr) über Steuersignale (U_V) für die Phasenströme und mindestens ein enable-Signal (g_RV, g_ÜV, g_V11, g_V21, g_V31) angesteuert werden.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das von dem Feedback-Aktuator (LRM, LRM₁, LRM₂) auf das Lenkrad übertragene Handmoment (M_H) aus dem Lenkradwinkel (δ_H) und/oder den Phasenströmen (I_H) des oder der Lenkradmotoren (LRM, LRM₁, LRM₁) bestimmt wird.

7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der oder die Lenkmotoren (LM₁, LM₂) über Steuersignale (U_V) für die Phasenströme und mindestens ein enable-Signal (g_RH, g_ÜH, g_H11, g_H21, g_H31) angesteuert werden.

8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der oder die Lenkmotoren (LM₁, LM₂) und/oder der oder die Lenkradmotoren (LRM₁, LRM₂) durch eine enable-Schaltung über ein Motorrelais angesteuert werden.

9. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Kommunikation (K₁, K₂) mit anderen Steuergeräten oder Sensoren (10, 13, 14) des Fahrzeugs redundant erfolgt.

10. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Umschalten vom Steer-by- Wire-Betrieb auf die Rückfallebene erst nach Ablauf einer Übergangszeit nach dem Auftreten eines Fehlers erfolgt.

11. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Rotorpositionen (δ_PH, δ_PV) des oder der Lenkradmotoren (LRM, LRM₁, LRM₂) und/oder des oder der Lenkmotoren (LM, LM_vl, LM_vr) erfasst werden.

12. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Druck (p_S) eines Druckspeichers der hydraulischen Rückfallebene überwacht wird.

13. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Klemmenspannung (UB) oder die Klemmenspannungen (UB₁, UB₂) des oder der Spannungsquellen des Steer-by-Wire-Lenksystems erfasst und bei der Berechnung der Stellgrößen berücksichtigt werden.

14. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass zur Überwachung der Funktionen des Steuergeräts und der Verfügbarkeit der Rückfallebene vier Logikebenen (L₁, L₂, L₃, L₄) vorgesehen sind.

15. Verfahren nach Anspruch 14, dadurch gekennzeichnet, dass in der ersten Logikebene (L₁)
Plausibilitätsüberprüfungen der Eingangssignale;
Auswahl der für die Verarbeitung erforderlichen Lenkradwinkel (δ_H) und Lenkwinkel (δ_V) aus den jeweils redundant vorliegenden Signalen,
Berechnung der Regelfunktionen für die Ansteuerung des oder der Lenkradmotoren (LRM, LRM₁, LRM₂) und des oder der Lenkmotoren (LM, LM₁, LM₂),
Änderung der Ansteuerung der Einrichtung (KU, USV) zum Aktivieren der Rückfallebene im Fehlerfall.

16. Verfahren nach Anspruch 14 oder 15, dadurch gekennzeichnet, dass in der zweiten Logikebene (L₂) die in der Logikebene L₁ durchgeführten Berechnungen mittels diversitärer Algorithmen überprüft werden.

17. Verfahren nach einem der Ansprüche 14 bis 16, dadurch gekennzeichnet, dass in der dritten Logikebene (L₃) vom Überwachungsmodul (ÜM) eine Frage abgeholt und unter Berücksichtigung aller sicherheitsrelevanten Programmteile innerhalb eines vorgegebenen Zeitintervalls beantwortet wird, und dass beim Auftreten eines durch die Logikebenen L₂ und L₃ erkannten Fehlers die Freigabesignale (g_RV, g_RH, m_H1, m_H2) für die Ansteuerung der Leistungselektronik LE_LM bzw. LE_LRM des Lenkmotors LM bzw. Lenkradmotors LRM zurückgesetzt.

18. Verfahren nach einem der Ansprüche 14 bis 17, dadurch gekennzeichnet, dass in der vierten Logikebene (L₄) die Antwort der dritten Logikebene hinsichtlich bitgenauer Übereinstimmung und Antwortzeit überprüft wird, und dass bei einem nicht ordnungsgemäßen Ablauf der Frage-Antwort- Kommunikation mit der Logikebene L₃ die Freigabesignale g_ÜV bzw. g_ÜH für die Ansteuerung der Motoren, die Freigabesignale f_ÜV bzw. f_ÜH für die Ansteuerung des ersten und zweiten Motorrelais (17, 18) und das Ansteuersignal (b_ÜU) für die Leistungselektronik (LE_LM, LE_LRM) des Lenkmotors (LM) und/oder des Lenkradmotors (LRM) zurückgesetzt wird.

19. Computerprogramm, dadurch gekennzeichnet, dass es zur Durchführung eines Verfahrens nach einem der vorstehenden Ansprüche geeignet ist.

20. Computerprogramm nach Anspruch 19, dadurch gekennzeichnet, dass es auf einem Speichermedium abgespeichert ist.

21. Steuergerät zum Steuern eines Steer-by-Wire- Lenksystems, dadurch gekennzeichnet, dass das Steuergerät nach einem Verfahren nach einem der Ansprüche 1 bis 18 arbeitet.

22. Steuergerät nach Anspruch 21, dadurch gekennzeichnet, dass das Steuergerät mindestens einen Mikrorechner (RM, RM₀, RM₁, RM₂, RM_H1, RM_H2, RM_H3, RM_V1, RM_V2, RE_V3) und/oder mindestens ein Überwachungsmodul (ÜM, ÜM₁, ÜM₂, UM₃) aufweist.

23. Steuergerät nach Anspruch 22, dadurch gekennzeichnet, dass der mindestens eine Mikrorechner (RM, RM₀, RM₁, RM₂, RM_H1, RM_H2, RE_H3, RM_V1, RM_V2, RM_V3) die Aufgaben der ersten zweiten und dritten Logikebene (L₁, L₂, L₃) übernimmt, und dass das mindestens eine Überwachungsmodul (ÜM, ÜM₁, ÜM₂, ÜM₃) die Aufgaben der vierten Logikebene (L₄) übernimmt.

24. Steuergerät nach Anspruch 22, dadurch gekennzeichnet, dass sich die Mikrorechner (RM, RM₀, RM₁, RM₂, RM_H1, RM_H2, RM_H3, RM_V1, RM_V2, RM_V2, RM_V3) gegenseitig kontrollieren, und dass mindestens ein Mikrorechner die Aufgaben vierten Logikebene (L₄) übernimmt.

25. Steuergerät nach einem der Ansprüche 21 bis 24, dadurch gekennzeichnet, dass das Steuergerät den oder die Lenkrad-Steller (LRM) und/oder den oder die Lenksteller (LRM₁, LRM₂) über je eine Leistungselektronik (LE_LM1, LE_LM2, LE_LRM1, LE_LRM2) ansteuert.

26. Steer-by-Wire-Lenksystem für ein Fahrzeug mit einem auf ein Lenkrad wirkenden Feedback-Aktuator (LRM), mit einem Lenkradwinkelerfassung (10), mit einer Handmomentenerfassung (13), mit einem Lenksteller (LRM), mit einer Lenkwinkelerfassung, mit einer Rückstellmomenterfassung (14), mit einer Kommunikationseinrichtung (K) und mit einem Steuergerät, dadurch gekennzeichnet, dass das Steuergerät ein Steuergerät nach einem der Ansprüche 20 bis 25 ist, und dass das Steer-by-Wire-Lenksystem redundant aufgebaut ist.

27. Steer-by-Wire-Lenksystem nach Anspruch 26, dadurch gekennzeichnet, dass je eine Leistungselektronik (LE_LM1, LE_LM2, LE_LRM1, LE_LRM2) zum Ansteuern des oder der Feedback- Aktuatoren (LRM₁, LRM₂) und/oder des oder der Lenksteller (LM₁, LM₂) vorhanden ist.